Система предотвращения вторжений (IPS)
Простыми словами
IDS наблюдает и сообщает, а IPS располагается в тракте передачи и способна вмешаться. На практике функции IDS/IPS часто входят в состав NGFW, но качество защиты зависит от видимости трафика и настройки правил.
Как применяется
IPS настраивают с учётом защищаемых сервисов, допустимого риска ложных блокировок и производительности. Срабатывания анализируют, правила обновляют, исключения ограничивают по времени и области.
Пример применения
IPS обнаруживает в HTTP-запросе шаблон эксплуатации известной уязвимости и разрывает соединение до передачи запроса серверу, одновременно создавая событие для SOC.
Не путать с
- IDSIDS обнаруживает и сообщает
- WAFWAF анализирует веб-запросы на прикладном уровне, а IPS обычно контролирует более широкий сетевой трафик
Как это работает
- ТрафикIPS получает копию потока или располагается на пути прохождения соединения.
- АнализСигнатуры, протоколы и поведенческие признаки сопоставляются с моделями атак.
- ПредотвращениеПри подтверждённом условии пакет блокируется, соединение разрывается или источник ограничивается.
- НастройкаСрабатывания анализируются, исключения документируются, а правила регулярно обновляются.
Продолжить изучение
Связанные термины
Частые вопросы
IDS формирует предупреждение, IPS стоит в тракте и может разорвать соединение, отбросить пакет или применить другое действие предотвращения.
Может ли IPS блокировать легитимный трафик?Да. Ошибочная сигнатура или недостаточный контекст могут затронуть легитимный трафик, поэтому нужны настройка, тестирование и контроль исключений.
Где устанавливают IPS?На границах и внутри сети перед защищаемыми сегментами; размещение выбирают по требуемой видимости, производительности и допустимому риску блокировки.